目前我们是前后端分离，关于用户鉴权部分的接口，web 和 app 想共用一套
web 端原来的方案：
- token 用 jwt 包一层，只是用了加密的功能，没有 jwt 的过期，关于 token 有效性和失效时间的管理是用存表判断来管理。前端把下发的 jwt 存在 cookie 里，每次 服务端读取 cookie 里的 token 鉴权。
- 尽量用了 RESTful 的规范，幂等的只读接口是用 GET，可能有副作用的用 POST。
现在 app 端开始做对接，app 同事认为 POST 比 GET 更安全（实际抓包的话都是暴露的），GET 请求的话他把 jwt 放在 url 的参数里，认为这样不安全，请问
- 前后端分离时各位是怎么设计用户验证这块接口的，有什么更好的方案吗？
- app 端除了把 token 放在 url 或者 request 的 header 里，还有什么更好的方案吗？
billy
#1
2016年04月22日
登录当然是 POST, 拿到 token。其他的什么都行，每一次请求 HEADER 里面都要放 token，后端验证。不要用 cookie, 因为不是什么客户端都方便做 cookie, 而且后端也不需要耦合客户端的实现，大家都按照 HTTP 规范来就好了。
